Luka SQL Injection w wtyczce Product Filter by WBW dla WordPress

Co wiadomo

Wtyczka Product Filter by WBW dla WordPress do wersji 2.9.7 jest podatna na atak SQL Injection poprzez parametr 'filtersDataBackend'. Luka wynika z niewystarczającego oczyszczania danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie dodatkowych zapytań SQL i wykradanie danych z bazy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych informacji przechowywanych w bazie danych, co może prowadzić do naruszenia prywatności, utraty danych oraz uszkodzenia integralności systemu. Właściciele stron korzystających z tej wtyczki powinni potraktować tę podatność jako poważne zagrożenie dla bezpieczeństwa swoich aplikacji webowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Product Filter by WBW i jej instalację. W przypadku braku łatki, należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację konfiguracji serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference